2020年新版《等级保护定级指南》有哪些改变

2020年新版《定级指南》有哪些改变？时代新威·等级保护小组POWERTIME引言2020年11月1日，GB/T22240-2020《信息安全技术网络安全等级保护定级指南》正式实施，也就是等保2.0的定级指南正式实施了。那么2.0的定级指南正式实施后，我们在开展相关工作中需要注意哪些点呢？今天就给大家做一个梳理，供大家参考。01等级保护对象范围扩大等级保护对象范围等保保护定级对象主要包括：信息系统、通信网络设施和数据资源等；信息系统就是我们在1.0时候的定级对象，指的是各类信息系统；通信网络设施指的是为信息流通、网络运行等起基础支撑作用的网络设备设施，主要包括电信网、广播电视传输网和行业或单位的专用通信网等，所以大家得注意了自己单位的专网得定级，特别是承载了重要信息系统或者专网规模较大的网络；数据资源指的是具有或预期具有价值的数据集合，数据资源主要是拥有大量各类有价值的数据，那么这些单位需要保护好这些数据资源，自然需要对该数据资源进行定级，我们可以想象的这类数据有：人社数据、医保数据、公积金数据、个人财产数据（银行、房产、保险等）等信息；等级保护对象范围这里注意：当安全责任主体相同时，大数据、大数据平台/系统宜作为一个整体对象定级；当安全责任主体不同时，大数据应独立定级；涉及到大量公民个人信息以及为公民提供公共服务的大数据平台/系统，原则上其安全保护等级不低于三级；不是所有的这类数据都需要独立去定级，日常中主要存在数据进行集中化后的场景，例如一些地方的大数据局或者政务中心将各行业的一些数据要过来后进行相关应用或使用时应当对这些数据进行独立定级。等级保护对象范围公民、法人和其他组织最高依然为二级，当公民、法人和其他组织的合法权益造成特别严重损害时依然定为二级。根据2.0的定级指南中定级要数与安全保护等级的关系表我们发现当公民、法人和其他组织的合法权益造成特别严重损害时依然为二级，这块在征求意见稿中是第三级，前段时间在一个培训会议上依然看到有主管部门将这里写为第三级，需要大家注意并修正。等级保护对象范围02等保定级需要进行专家评审等保定级需要进行专家评审等保定级需要进行专家评审从图中可以看到，定级需要进行专家评审，那么至此等保定级再也不是1.0的自主定级了，而是需要规范进行定级。对于初步确定为第一级的等级保护对象，可不进行专家家评审、主管部门核准和备案审核，所以一级系统不需要去公安网安部门进行备案，但是这里需要提醒的是哪些是一级系统，通俗点说就是这个系统哪怕是坏了对别人的影响都非常小的系统才是一级系统。定一级前，你们对照自己的系统看看是不是这样的，但凡不是这样的，那么你的系统肯定是二级起步了。那么安全保护等级初步确定为第二级及以上的等级保护对象，就需要组织专家评审、主管部门核准和备案审核，最终确定其安全等级。专家评审如何开展？专家评审如何开展是等保2.0定级一个绕不开的问题。哪些是专家？谁来认定这些专家？这个在定级指南里没有说明，也不好说明，那么大家在实际开展工作中也是各不相同，比如北京要求有测评师参与评审，有些地方自己组织认定了一批评审专家，有些地方套用政府采购评审专家，有些地方也没有明确专家大家自由选择。这些认为都没有错，适合自己的就行，但是觉得既然是等保定级的评审专家，那么他们应当要对等保定级这项工作了解才能更好地帮助网络运营者进行准确定级。那么哪些人对等保定级工作了解呢？专家评审如何开展？第一、公安网安主管部门工作人员，一般情况下为了避嫌，是异地网安人员参与评审；第二，测评机构持证工作人员，他们长年在一线进行等保工作，他们接触了很多系统，对标准对系统情况比较熟悉，他们适合当等保定级专家，这里建议测评机构的评审专家资质应为：中、高级测评师，他们的工作经验相对初级测评师来说较为丰富；第三，相关网络安全专家，这里就比较广泛，比如各个单位信息中心或者网络安全的负责人，行业主管部门负责网络安全的人员，高校负责网络安全、计算机等教学人员，这些专家也都行，他们长年从事信息化特别是网络安全工作，经验也较为丰富，如果自身负责过或指导过本单位等保工作开展的那就更好。专家评审如何开展？如果每次专家评审至少有这三类人参与的话，认为这个定级一定相对更加规范合理，因为这些人你想忽悠还真不容易，所以也建议各地还没有对专家范围进行认定的可以让各家单位按照这个要求来找专家，总结下就是：定级评审专家至少3人，人员中包括：异地网安人员、测评机构中高级测评师及其他网络安专家。专家找好了，评审就顺其自然的开展下去了，网络运营者肯定要对自己的信息系统进行介绍，各位专家对定级资料进行评审，提出相关疑问，网络运营者解答，最终专家对该系统的定级情况做一个认定，出具专家评审意见并进行签字，这样专家评审环节就完成了。03受侵害的客体表现形式受侵害的客体表现形式受侵害的客体表现形式业务信息安全和系统服务安全受到破坏后，产生的侵害后果有以下表现形式：

很多人对受侵害的客体及受到破坏后造成的影响认识不清，比较模糊，比较抽象，根据以上描述，让大家对此有一个相对比较具体的认知。

04等级变更时需重新进行定级等级变更时需重新进行定级当等级保护对象所处理的业务信息和系统服务范围发生变化，可能导致业务信息安全和系统服务安全受到破坏后的受侵害客体和对客体的侵害程度发生变化时，需根据本标准重新确定定级对象和安全保护等级。也就是等级需要变更时需要按照定级指南重新开展定级，该请专家评审的请专家评审，该请行业主管部门审核的请行业主管部门审核，再也不能随意进行等级的变更了。等保2.0定级指南正式开始实施，各地公安网安部门可以根据本地实际情况规范开展等保定级工作，引导各网络运营者规范开展网络安全等级保护工作，等保工作离不开你们的监管。怎样合理规范，怎样有利于开展工作就